NIS2 voor het mkb
Tien punten om uw beveiliging na te lopen
Nederland zet de Europese NIS2-richtlijn om in de Cyberbeveiligingswet. Die wet wordt van kracht voor organisaties in aangewezen sectoren. Valt u er zelf niet onder, dan kan een klant toch eisen stellen.
De wet raakt ook kleinere leveranciers
Het mkb is niet vanzelf vrijgesteld. Organisaties die onder de wet vallen, moeten ook hun leveranciers beoordelen. Levert u aan zo’n organisatie, dan kan die in het contract eisen stellen of om een audit vragen.
De wet is nog in beweging. Het NCSC houdt bij wat er geldt en voor wie.
De actuele stand op ncsc.nl- Essentiële organisaties
- Onder meer energie, vervoer, drinkwater, zorg en digitale infrastructuur. Hier is het toezicht het strengst.
- Belangrijke organisaties
- Onder meer post, afvalbeheer, voedsel, chemie en digitale diensten. Meestal vanaf 50 medewerkers of 10 miljoen euro omzet.
- Via de keten
- Leveranciers van beide groepen, ook kleine. De eisen komen dan via het contract met uw klant.
De checklist in tien punten
De wet schrijft geen apparaten of merken voor. Ze vraagt dat u uw risico’s kent en aantoonbaar maatregelen neemt. Deze tien punten komen in een beoordeling vaak terug.
-
U kent uw risico’s en heeft een noodplan
Zet op papier welke systemen en gegevens u heeft en wat er mis kan gaan. Leg vast wie wat doet bij een incident, en oefen dat.
-
Inloggen gaat met een tweede stap
Gebruik tweestapsverificatie (MFA) voor VPN, werken op afstand en beheeraccounts. Geef mensen alleen de rechten die ze nodig hebben en controleer dat geregeld.
-
Het netwerk is in delen gesplitst
Houd kantoor, productie, gasten en slimme apparaten van elkaar gescheiden. Een firewall bepaalt wat er tussen die delen mag. Zo komt een indringer niet overal bij.
-
Terugzetten van back-ups is getest
Bewaar back-ups buiten het pand of in de cloud. Zet minstens één keer per jaar iets terug om te zien of het werkt. Leg vast hoe snel u weer moet draaien.
-
Logboeken staan op één plek
Verzamel de logboeken van firewall, VPN en servers op één plek. Laat u waarschuwen bij verdachte activiteit, zodat u een aanval achteraf kunt nalopen.
-
Leveranciers staan op een lijst
Houd bij van welke leveranciers u afhangt. Zet beveiligingseisen in de contracten en kijk er jaarlijks naar.
-
Gegevens zijn versleuteld
Versleutel gegevens onderweg en opgeslagen. Denk aan https voor webtoepassingen, een VPN voor toegang van buitenaf en versleutelde schijven.
-
Medewerkers en bestuurders zijn getraind
Train iedereen in het herkennen van phishing, bijvoorbeeld met oefenmails. Houd bij wie wanneer heeft meegedaan.
-
Iemand is aangewezen om incidenten te melden
De richtlijn kent korte meldtermijnen. De eerste waarschuwing gaat binnen 24 uur. Spreek vooraf af wie meldt en houd een logboek van incidenten bij.
-
U loopt de maatregelen elk jaar na
Doe dat zelf of met een externe partij. Volg de bevindingen op en bewaar het verslag.
Voor een deel van de lijst leveren we techniek
Juridisch advies en NIS2-audits doen we niet. Met deze diensten voldoet u niet vanzelf aan de wet; ze helpen bij een paar punten. Voor een volledige toets heeft u een adviseur nodig, en met die adviseur werken we graag samen aan de techniek.
- Firewall in het netwerk Punt 3: verkeer naar internet per groep apparaten afschermen. Het logboek kan aan, maximaal zeven dagen. Vanaf € 149 per maand.
- VPN voor thuiswerkers Punt 7: versleutelde toegang voor thuiswerkers. Bij mShield vanaf € 15 per maand voor 2 gelijktijdige gebruikers. Bij de FortiGate-firewall zitten 2 gebruikers inbegrepen.
- DNS-beveiliging Blokkeert bekende malware- en phishingsites voor elk apparaat. Vanaf € 7,50 per maand.
- Eigen verbinding naar Azure Uw Azure-verkeer loopt buiten het openbare internet. Versleutelen doet deze verbinding niet.
Laat de netwerkkant kosteloos nakijken
We lopen de punten die over uw netwerk gaan met u door. U hoort binnen een werkdag van ons.